Dic 16 2024

Uber se opone a la tercera y más cuantiosa multa de la DPA holandesa por transferencia de datos a EEUU

La Autoridad de Protección de Datos (DPA) de los Países Bajos ha impuesto una cuantiosa multa a Uber debido a una serie de infracciones graves al Reglamento General de Protección de Datos (RGPD).

Motivos de la sanción

La investigación llevada a cabo por la DPA reveló que la compañía tecnológica había recopilado y transferido una amplia gama de datos personales de conductores europeos a sus servidores ubicados en Estados Unidos, sin garantizar las medidas de seguridad adecuadas para proteger dicha información.

Entre los datos personales recopilados se encuentran:

Información de la cuenta: nombres de usuario, contraseñas y datos de contacto.
Permisos de taxi: licencias y autorizaciones necesarias para operar como conductor.
Datos de ubicación: información en tiempo real sobre la ubicación del conductor.
Fotografías: imágenes del conductor y de su vehículo.
Datos de pago: información relacionada con las transacciones realizadas a través de la plataforma.
Documentos de identidad: copias de documentos oficiales como el DNI o pasaporte.
Datos sensibles: en algunos casos se ha recopilado información de carácter sensible como antecedentes penales y datos médicos.

La transferencia de estos datos a Estados Unidos se llevó a cabo durante más de dos años, sin que Uber implementara las herramientas de transferencia de datos adecuadas, como las cláusulas contractuales tipo, que garantizan un nivel de protección equivalente al establecido en el RGPD. Esta situación se agravó aún más tras la invalidación del Privacy Shield UE-EE. UU. por parte del Tribunal de Justicia de la Unión Europea en 2020.

Incumplimiento y normativa

La conducta de Uber representa una clara violación del RGPD, que establece un marco legal riguroso para la protección de datos personales en la Unión Europea. Al transferir datos personales a un país tercero sin las garantías adecuadas, Uber expuso a los conductores a un riesgo significativo de violación de sus derechos fundamentales.

La DPA holandesa inició esta investigación a raíz de las quejas presentadas por más de 170 conductores franceses, lo que demuestra la preocupación generalizada entre los afectados. La cooperación entre las autoridades de protección de datos de diferentes países europeos ha sido fundamental para coordinar esta acción y garantizar una respuesta eficaz ante las prácticas irregulares de Uber.

La multa impuesta a Uber es una de las más altas registradas hasta la fecha en el contexto del RGPD, lo que refleja la gravedad de las infracciones cometidas. Esta sanción económica tiene como objetivo disuadir a otras empresas de cometer prácticas similares y servir como un recordatorio de la importancia de cumplir con la normativa de protección de datos.

Las principales infracciones cometidas por Uber, según la DPA holandesa, se centran en tres puntos clave:

En primer lugar, la compañía transfirió de manera ilícita datos personales de conductores europeos a servidores ubicados en Estados Unidos, sin garantizar las medidas de seguridad y protección de datos exigidas por el RGPD.
En segundo lugar, Uber falló en proporcionar a los conductores una información transparente y completa sobre cómo se utilizaban sus datos, a quién se comunicaban y qué derechos les asistían.
Por último, la compañía no implementó las medidas de seguridad necesarias para proteger los datos personales de los conductores frente a posibles brechas o accesos no autorizados, exponiendo así a los afectados a riesgos significativos.

Otras sanciones a Uber

Es importante destacar que esta no es la primera vez que Uber es sancionada por la DPA holandesa. Las multas anteriores, impuestas en 2018 y 2023, evidencian un patrón de incumplimiento por parte de la compañía, lo que pone en duda su compromiso con la protección de los datos de sus usuarios.

Uber ha recibido varias sanciones por parte de la Autoridad de Protección de Datos de los Países Bajos (DPA) antes de la multa de 290 millones de euros impuesta en 2024. Estas sanciones previas demuestran un patrón de incumplimiento por parte de la compañía en relación con la protección de datos de sus conductores.

2018: multa de 600.000 euros. La primera sanción impuesta por la DPA a Uber se produjo en 2018. Esta multa se debió a infracciones relacionadas con la transparencia en el tratamiento de datos y la falta de información adecuada a los conductores sobre cómo se utilizaban sus datos personales.
2023: multa de 10 millones de euros. En 2023 Uber recibió una segunda multa, esta vez de 10 millones de euros. Esta sanción se produjo debido a infracciones similares a las de 2018, pero a una escala mayor.

La repetición de las sanciones a Uber sugiere que la compañía no ha tomado las medidas necesarias para corregir las deficiencias identificadas en las inspecciones anteriores. A pesar de las multas y advertencias, Uber ha continuado incumpliendo el RGPD en lo que respecta a la protección de los datos de sus conductores.